Políticas personalizadas para Tair (Redis OSS-compatible) - - Centro de documentación de Alibaba Cloud

Si las políticas del sistema no cumplen con sus requisitos, cree políticas personalizadas para aplicar el principio de menor privilegio. Estas políticas permiten implementar una gestión detallada de permisos y mejorar la seguridad en el acceso a los recursos. Este tema describe escenarios comunes donde se utilizan políticas personalizadas para Tair (Redis OSS-compatible) y proporciona ejemplos prácticos.

¿Qué es una política personalizada?

Las políticas de Resource Access Management (RAM) se clasifican en políticas del sistema y políticas personalizadas. Gestione las políticas personalizadas según las necesidades de su negocio.

Después de crear una política personalizada, vincúlela a un usuario de RAM, un grupo de usuarios de RAM o un rol de RAM. De este modo, los permisos especificados en la política se otorgan al principal correspondiente.
Puede eliminar una política de RAM que no esté vinculada a ningún principal. Si la política está asociada a un principal, primero desvincúlela antes de eliminarla.
Las políticas personalizadas admiten control de versiones. Administre dichas versiones mediante el mecanismo de gestión que proporciona RAM.

Referencias

Escenarios comunes y ejemplos

A continuación se presentan ejemplos de políticas personalizadas frecuentes. Reemplace Instance ID en el siguiente código por el ID real de su instancia.

Permisos de administración total sobre una sola instancia

La siguiente política otorga permisos completos de administración sobre la instancia especificada:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kvstore:*",
            "Resource": "acs:kvstore:*:*:*/<Instance ID>",
            "Condition": {}
        },
        {
            "Action": "kvstore:Describe*",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Permisos de administración total sobre varias instancias

Esta política concede permisos completos de administración sobre varias instancias específicas:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kvstore:*",
            "Resource": [
                "acs:kvstore:*:*:*/<Instance ID>",
                "acs:kvstore:*:*:*/<Instance ID>"
            ],
            "Condition": {}
        },
        {
            "Action": "kvstore:Describe*",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Permisos de administración total en instancias con una etiqueta específica

La siguiente política otorga permisos completos de administración sobre las instancias que tienen la etiqueta indicada, como TagKey:TagValue en este ejemplo. Sin embargo, no permite agregar ni quitar etiquetas.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kvstore:DescribeInstances",
                "kvstore:ListTagResources",
                "kvstore:DescribeParameterTemplates",
                "kvstore:DescribeHistoryMonitorValues",
                "sts:AssumeRole",
                "hdm:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "kvstore:TagResources",
                "kvstore:UntagResources"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "kvstore:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "acs:ResourceTag/TagKey": [
                        "TagValue"
                    ]
                }
            }
        }
    ]
}

Permisos para modificar listas blancas en una sola instancia

Esta política concede los permisos necesarios para modificar las listas blancas de direcciones IP de la instancia especificada:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kvstore:ModifySecurityIps",
            "Resource": "acs:kvstore:*:*:*/<Instance ID>",
            "Condition": {}
        },
        {
            "Action": "kvstore:Describe*",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Permisos para análisis de claves sin conexión

La siguiente política autoriza la ejecución de análisis de claves sin conexión en la instancia correspondiente:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "hdm:CreateCacheAnalysisTask",
                "hdm:DescribeCacheAnalysisReportList",
                "hdm:DescribeCacheAnalysisReport",
                "hdm:CreateCacheAnalysisJob",
                "hdm:DescribeCacheAnalysisJob",
                "hdm:DescribeCacheAnalysisJobs",
                "hdm:GetInstanceLatestBackup"
            ],
            "Resource": "acs:kvstore:*:*:instance/<Instance ID>",
            "Condition": {}
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "hdm.aliyuncs.com"
                }
            }
        }
    ]
}

Referencias

Para utilizar políticas personalizadas, debe comprender los requisitos de control de acceso de su negocio y la información de autorización relacionada con Tair (Redis OSS-compatible). Para obtener más información, consulte RAM authorization.